Op 20 oktober 2026 zijn twee kritieke kwetsbaarheden in PHP bekendgemaakt, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben een CVSS-score van 9,2 (kritiek) en zouden onder bepaalde omstandigheden misbruikt kunnen worden om op afstand code uit te voeren op een server, zonder dat hiervoor authenticatie vereist is.
Uit de huidige informatie blijkt dat mogelijk alle PHP-versies vanaf PHP 5 getroffen kunnen zijn. Op dit moment zijn nog niet alle technische details openbaar gemaakt. Dit is gebruikelijk bij kwetsbaarheden van deze ernst, zodat systeembeheerders eerst de gelegenheid krijgen beveiligingsupdates te installeren voordat aanvallers over alle benodigde informatie beschikken.
Omdat PHP de basis vormt van een groot aantal websites en webapplicaties, kunnen onder andere WordPress, Joomla, Drupal, Magento, Laravel en andere PHP-gebaseerde systemen door deze kwetsbaarheden worden geraakt.
De PHP-ontwikkelaars hebben aangekondigd dat de beveiligingsupdates naar verwachting op 21 oktober om 16:00 uur (Nederlandse tijd) beschikbaar worden gesteld.
Wat betekent dit voor u?
Zodra de officiële beveiligingsupdates beschikbaar zijn, zullen wij deze zo spoedig mogelijk op alle beheerde servers installeren. Vanwege de ernst van deze kwetsbaarheden zullen de werkzaamheden waar nodig buiten de reguliere onderhoudsmomenten worden uitgevoerd.
Tijdens het installeren van de updates kunnen websites, webapplicaties en e-maildiensten gedurende korte tijd minder goed bereikbaar zijn of tijdelijk niet beschikbaar zijn. Wij streven er uiteraard naar eventuele onderbrekingen tot een minimum te beperken.
Wat kunt u zelf doen?
Voor klanten met hosting bij ons is op dit moment geen actie vereist. Wij volgen de situatie actief, installeren de benodigde beveiligingsupdates zodra deze beschikbaar zijn en blijven de ontwikkelingen nauwlettend monitoren.
Hoewel er op dit moment geen aanwijzingen zijn dat deze kwetsbaarheden actief worden misbruikt, adviseren wij klanten met bedrijfskritische websites de situatie nauwlettend te volgen totdat de beveiligingsupdates zijn geïnstalleerd.
Wij houden u via onze websites en statuspagina op de hoogte van verdere ontwikkelingen.
Update 21-10-2026 15:50
We hebben onze systemen voorbereid op het zo snel mogelijk kunnen uitrollen van de nog uit te komen patch. Ook hebben we diverse voorzorgsmaatregelen genomen. Hierdoor kunnen bepaalde functionaliteiten in websites en e-mail helaas niet beschikbaar zijn. In afwachting van de patch, wordt vervolgd.
Update 21-10-2026 18:24
Op dit moment worden alle servers voorzien van de security patch. Is uw website weer online maar nog traag dan klopt dat, dit zal z.s.m. allemaal weer optimaal werken.
Update 21-10-2026 18:58
Alle servers zijn voorzien van de security patch en zijn weer veilig. Zoals u van ons gewend bent kunt u vanavond weer met een gerust hart gaan slapen.
Excuses voor het ongemak, maar dank voor uw begrip en vertrouwen!
i24 | Uw hostingpartner